كشفت Revolut عن هويات العملاء وسجلاتهم المالية، بما في ذلك سجلات معاملات البيتكوين، بعد أن استجابت لطلب احتيالي بدا وكأنه صادر عن وكالة حكومية.
وفقًا لإشعار عميل من Revolut شاركه المحقق على السلسلة ZachXBT على تليجرام، جاء الطلب من حساب بريد إلكتروني غير مصرح به استخدم نطاق وكالة حكومية رسمية. اجتازت الرسالة فحوصات مصادقة النطاق، وقالت Revolut إنها اعتقدت أن الطلب كان حقيقيًا عندما قدمت المعلومات.
لا يذكر الإشعار اسم الوكالة أو يوضح كيف حصل المرسل غير المصرح به على حق الوصول إلى نطاق بريدها الإلكتروني. كما أنه لا يحدد تاريخًا للطلب أو الكشف. قال ZachXBT إن العديد من العملاء تلقوا بريدًا إلكترونيًا تنبيهيًا يوم الجمعة، 11 سبتمبر، لكن لا هو ولا الجزء من الإشعار الظاهر في منشوره قدم عددًا مؤكدًا للمستخدمين المتأثرين.
في سرده للحادثة، قالت Revolut إن البريد الإلكتروني بدا وكأنه طلب حكومي شرعي لأنه يحمل بيانات اعتماد مصادقة نطاق صالحة. تم إرسال الطلب مباشرة من حساب غير مصرح به يستخدم نطاق البريد الإلكتروني الرسمي للوكالة، بدلاً من عنوان مصمم ليبدو مشابهًا له.
جاء في الإشعار: "نظرًا لأن الاتصال يحمل بيانات اعتماد مصادقة نطاق صالحة، فقد تم تنفيذه بالاعتقاد المعقول بأنه طلب وكالة حكومية أصيل".
تصف الصياغة إفصاحًا غير مصرح به تم بناءً على طلب خادع. لا يذكر الإشعار أن متسللاً اخترق أنظمة Revolut، أو وصل إلى حسابات العملاء، أو سحب أموالاً. كما أنه لا يحدد هوية الشخص الذي أرسل الطلب أو ما إذا كانت الوكالة قد حققت في استخدام حساب بريدها الإلكتروني.
وصف ZachXBT الحادث بأنه على الأرجح محدود النطاق وقال إنه بدا وكأنه يستهدف المستخدمين ذوي الثروات العالية. إشعار Revolut، كما هو موضح في لقطة الشاشة، لا يؤكد حجم المجموعة المتأثرة أو كيفية اختيار العملاء.
قامت Revolut بإدراج الأسماء الكاملة للعملاء، وتواريخ الميلاد، والمهن ضمن تفاصيل الهوية المقدمة. شملت معلومات الاتصال العناوين البريدية وعناوين البريد الإلكتروني وأرقام الهواتف.
نتج عن الطلب أيضًا الكشف عن نسخ من وثائق الهوية، مثل جوازات السفر أو رخص القيادة، بالإضافة إلى صور السيلفي التي قدمها العملاء لإجراء فحوصات الهوية. ميزت Revolut بين تلك الصور وبيانات القياسات الحيوية للوجه، التي قالت إنها لم تكن متضمنة.
شكلت كشوف الحسابات جزءًا آخر من المواد التي تم الكشف عنها. وفقًا للإشعار، تضمنت الكشوف أرقام الحسابات المصرفية الدولية (IBANs)، وحالة الحساب، وتواريخ فتح الحساب، وأرقام مرجعية لمحفظة البيتكوين. كما تم توفير سجلات السحب وسجلات المعاملات الكاملة، بما في ذلك معاملات البيتكوين.
يسرد الإشعار فئات المعلومات التي ربما تم الكشف عنها؛ ولا يؤكد أن كل عميل متأثر كان لديه كل نوع من السجلات في ملفه. كما أنه لا يذكر أن المفاتيح الخاصة للمحفظة، أو كلمات مرور الحساب، أو تفاصيل بطاقة الدفع الكاملة قد تم تضمينها. سجلات معاملات البيتكوين ذات أهمية خاصة لمستخدمي العملات المشفرة لأن الإشعار يضعها جنبًا إلى جنب مع الأسماء وسجلات الحساب الأخرى في المعلومات المرسلة إلى الجهة الطالبة غير المصرح بها.
تخدم Revolut أكثر من 80 مليون عميل عالميًا، وفقًا لإعلان الشركة في أغسطس. يصف هذا الرقم حجم أعمالها، وليس عدد المتأثرين بهذا الكشف.
يقول مكتب مفوض المعلومات في المملكة المتحدة إن العواقب المحتملة لخرق البيانات الشخصية تشمل سرقة الهوية والاحتيال والخسارة المالية. تدعو إرشاداته بشأن الخروقات إلى تقييم المعلومات المتضمنة والضرر المحتمل للأفراد؛ ولا تثبت أن أي شخص قد عانى من هذه النتائج في حادثة Revolut.
بالنسبة للعميل الذي تم الكشف عن وثيقة هويته وسجلات معاملاته، يشير الإشعار إلى أن المستلم كان بإمكانه الحصول على تفاصيل دقيقة عن الشؤون المالية لذلك الشخص. لم يتم تأكيد ادعاء ZachXBT بشأن استهداف المستخدمين الأثرياء من قبل Revolut في المواد المعروضة، ولم يتم توثيق أي إساءة استخدام لاحقة للسجلات هناك.
تنص إرشادات الجهة التنظيمية أيضًا على أنه يجب على المنظمات الإبلاغ عن بعض خروقات البيانات الشخصية في غضون 72 ساعة من علمها بها، حيثما كان ذلك ممكنًا، وإخطار الأفراد دون تأخير لا مبرر له عندما يكون الخطر على حقوقهم وحرياتهم مرتفعًا. لا توضح لقطة الشاشة ما إذا كانت Revolut قد أخطرت جهة تنظيمية أو متى علمت الشركة بالطلب غير المصرح به لأول مرة.
في إرشاداتها الأمنية الأمريكية، تخبر Revolut العملاء باستخدام الدردشة داخل التطبيق للدعم الفني للتحقق مما إذا كان أي اتصال مشبوه حقيقيًا. تقول الشركة إنها لن تطلب من العملاء مشاركة رموز التحقق أو الأمان عبر الهاتف. لا يشير إشعار العميل الذي عرضه ZachXBT إلى أنه تم الكشف عن مثل هذه الرموز.
تأتي هذه الحادثة خلال توسع Revolut في خدماتها المصرفية وخدمات الأصول الرقمية. في 26 أغسطس، بدأت الشركة في تقديم عملتها المستقرة EURR المدعومة باليورو لعملاء مختارين في الدنمارك وبولندا والبرتغال، مع خطط لتوفرها في مناطق أوروبية أخرى، كما ذكرت crypto.news سابقًا. طرح العملة المستقرة منفصل عن الكشف عن سجلات العملاء.
توفر خطط Revolut في الولايات المتحدة سياقًا للقراء الأمريكيين، على الرغم من أن الإشعار لا يحدد أي عميل متأثر على أنه موجود في الولايات المتحدة. في 3 سبتمبر، تلقت الشركة موافقة مشروطة لفتح بنك أمريكي من مكتب مراقب العملة. سيحصل البنك المقترح في ستامفورد بولاية كونيتيكت على حوالي 95 مليون دولار كرأس مال أولي ويمكن أن يفتح في عام 2027 إذا حصل على الموافقات المتبقية.
في الوقت الحالي، تقدم Revolut خدمات مصرفية للعملاء الأمريكيين من خلال Lead Bank، وفقًا للتقرير السابق. لا يزال البنك الوطني المقترح بحاجة إلى تأمين الودائع من المؤسسة الفيدرالية للتأمين على الودائع (FDIC)، وموافقة الاحتياطي الفيدرالي، وترخيص نهائي من مكتب مراقب العملة قبل أن يتمكن من الافتتاح.
BTC
